Hoe een Open Finance-aanbieder op te zetten in de VAE

Onder de CBUAE Open Finance-regulering kiest een aanvrager voor een of beide vergunningplichtige activiteiten: Data Sharing en Service Initiation. Deze worden afzonderlijk beoordeeld en verleend, zodat een onderneming die een klant alleen zijn rekeningsaldi bij verschillende instellingen toont, niet automatisch het recht krijgt om voor hem geld over te boeken, en omgekeerd. De CBUAE moet binnen zestig werkdagen op een volledige aanvraag beslissen.

Geen van beide licenties brengt een bedrijf uit zichzelf onder de regelgeving voor bankieren, betalingen of effecten. Het aanhouden van klantgelden, het verstrekken van krediet of het geven van beleggingsadvies vergt de aparte machtiging van de CBUAE of van de Autoriteit voor Effecten en Grondstoffen (SCA) die die activiteiten vereisen, bovenop de licentie voor open financiering en niet in plaats daarvan. Het is dezelfde reikwijdtetoets als bij een in de VAE gebouwde neobank: wie raakt geld aan, en op wiens licentie mag dat. Een platform dat geld ophaalt bij het publiek of kredietgevers en kredietnemers aan elkaar koppelt, wordt behandeld in de gids over crowdfunding- en leenplatforms.

De regelgeving stelt financiële middelen vast die een bedrijf moet aanhouden, niet alleen de activiteit die het aangeeft:

Dit zijn financiële en operationele verplichtingen, geen oprichtingsdocumentatie, en een businessplan dat deze als latere problemen behandelt, komt ze doorgaans toch tegen tijdens de licentiebeoordeling. De eigen vergoeding van Velarozone wordt afzonderlijk gespecificeerd in de opdrachtbevestiging; zie hoe Velarozone werkt voor hoe dat zich verhoudt tot de eigen bedragen van de toezichthouder.

Een vergunninghoudende Open Finance Provider bouwt geen eigen netwerk: zij sluit aan op infrastructuur die de CBUAE zelf vastlegt. Binnen veertien dagen na goedkeuring moet een aanbieder zich registreren en haar registratie onder het Trust Framework onderhouden, dat deelnemers valideert, de digitale certificaten uitgeeft die elke verbinding nodig heeft, en de technische normen bevat waaraan elk bedrijf moet bouwen. Klantgerichte interfaces moeten ISO 20022-berichtformaten gebruiken, niet het eigen API-ontwerp van een aanbieder.

De API Hub die de API's van deelnemers bundelt tot één platform is zelf een gelicentieerde, afzonderlijk gekapitaliseerde functie: een minimaal gestort kapitaal van AED 20.000.000, operationeel binnen zes maanden na goedkeuring. De meeste aanbieders zullen er nooit een exploiteren (zij sluiten erop aan), maar een onderneming die zich positioneert als Open Finance-infrastructuur voor andere deelnemers, in plaats van als licentiehouder op eigen titel, kiest voor de API Hub-route en het veel hogere kapitaal dat daarbij hoort.

Met een Service Initiation-licentie kan een onderneming een betaling opdragen; zij mag het verplaatste geld niet zelf aanhouden, dat blijft bij de bank of betalingsinstelling die de rekening beheert. Een Data Sharing-licentie verplaatst helemaal geen geld: het is leestoegang tot gegevens die de klant heeft toegestaan te delen. Beide modellen stuiten op dezelfde grens: gelden staan op gescheiden klantenrekeningen bij gelicentieerde instellingen onder toezicht van de toezichthouder, nooit bij de Open Finance Provider zelf.

Dit is ook wat een bank zal toetsen voordat zij een rekening opent voor het bedrijf: welke vergunningscategorie het bedrijf houdt, of het ooit klantgeld in bewaring neemt, al is het maar tijdelijk, en hoe toestemmings- en authenticatiecontroles daadwerkelijk zijn geïmplementeerd in plaats van alleen beschreven. Een bedrijf dat zich op dat gesprek voorbereidt, heeft baat bij werk aan bankrekeninggereedheid vóór de aanvraag, niet nadat een bank al nee heeft gezegd.

De regulering houdt twee zaken dicht bij huis. Ten eerste de gegevens: klantgegevens waartoe toegang is verkregen onder een Open Finance-licentie moeten binnen de VAE worden opgeslagen, en een kopie buiten het land vereist zowel goedkeuring van de CBUAE als toestemming van de klant. De enige ingebouwde uitzondering is een gelicentieerd bijkantoor van een buitenlandse bank dat een dagelijks bijgewerkte kopie van het hoofdbestand in de VAE bewaart. Ten tweede de controle: een onderneming mag een materiële activiteit, of een cruciale controlefunctie zoals compliance of risicobeheer, niet uitbesteden zonder eerst de CBUAE te informeren en een verklaring van geen bezwaar te ontvangen. Gegevens moeten ten minste vijf jaar worden bewaard.

Deze regels bepalen waar compliance- en engineeringrollen daadwerkelijk zijn gevestigd, niet alleen waar de holdingmaatschappij is geregistreerd. Een plan dat ervan uitgaat dat een offshore team de toegang tot productiegegevens kan beheren, of dat compliance een deeltijdse retainer is, moet doorgaans worden herzien zodra dit onderdeel goed is gelezen. Hoe die rollen worden ingevuld, hoort in het licentiedossier thuis. Zie businessplannen en ondersteunende documentatie voor wat dat dossier moet aantonen.